Freigeben über

Erste Schritte mit ASP.NET Identity

Das ASP.NET Identity-System wurde entwickelt, um die vorherigen ASP.NET Mitgliedschafts- und Simple Membership-Systeme zu ersetzen. Sie umfasst die Profilunterstützung, die OAuth-Integration, arbeitet mit OWIN und ist in den ASP.NET Vorlagen enthalten, die mit Visual Studio 2013 ausgeliefert wurden.

Es wird empfohlen, die sicherste Authentifizierungsoption zu verwenden. Informationen zu .NET-Apps, die in Azure bereitgestellt werden, finden Sie unter:

Azure Key Vault und .NET Aspire bieten die sicherste Möglichkeit zum Speichern und Abrufen von Geheimschlüsseln. Azure Key Vault ist ein Clouddienst, der Verschlüsselungsschlüssel und geheime Schlüssel wie Zertifikate, Verbindungszeichenfolgen und Kennwörter schützt. Informationen zu .NET Aspire finden Sie unter Sichere Kommunikation zwischen Hosting- und Clientintegrationen.

Vermeiden Sie die Gewährung von Berechtigungen für Ressourcenbesitzer-Kennwörter, da dies:

  • Macht das Kennwort des Benutzers für den Client verfügbar.
  • Ist ein erhebliches Sicherheitsrisiko.
  • Sollte nur verwendet werden, wenn andere Authentifizierungsflüsse nicht möglich sind.

Wenn die App auf einem Testserver bereitgestellt wird, kann eine Umgebungsvariable verwendet werden, um die Verbindungszeichenfolge für einen Testdatenbankserver festzulegen. Umgebungsvariablen werden in der Regel in nur unverschlüsselten Text gespeichert. Wenn der Computer oder der Prozess kompromittiert ist, können Umgebungsvariablen von nicht vertrauenswürdigen Parteien aufgerufen werden. Es wird davon abgeraten, Umgebungsvariablen zum Speichern einer Verbindungszeichenfolge für Produktionsumgebungen zu verwenden, da dies kein besonders sicherer Ansatz ist.

Konfigurationsdatenrichtlinien:

  • Speichern Sie niemals Kennwörter oder andere vertrauliche Daten im Konfigurationsanbietercode oder in Nur-Text-Konfigurationsdateien.
  • Verwenden Sie keine Produktionsgeheimnisse in Entwicklungs- oder Testumgebungen.
  • Geben Sie geheime Schlüssel außerhalb des Projekts an, damit sie nicht versehentlich an ein Quellcode-Repository gebunden werden können.
  • Last updated on